郵政編碼是否屬於可識別的個人信息？

郵政編碼是否屬於可識別的個人信息？

PII（Personal IdentifiableInformation）是美國隱私監管中最核心的概念之一，它定義了大量隱私法規的監管範圍和界限。聯邦法規首創了這一概念區分，包括《兒童在線隱私保護法》，《Gramm-Leach-Bliley法》，《HITECH法》和《視頻隱私保護法》都有所涉及。此外，作為司法觸發要素的州法規也高度依賴PII這一概念，包括加利福尼亞州《Song-BeverlyCredit Card法》和許多數據安全違規通知相關法律。這些法律都具有相同的基本假設——即在沒有PII的情況下，不存在隱私傷害。因此，所謂隱私監管側重於對PII的收集、使用和披露行為，而非PII信息則不受其監管。

除了聯邦法律會對PII進行界定以外，州隱私法也會對PII進行定義。其中最重要的法律之一是加州《Song-BeverlyCredit Card法》，該法案阻止商家在信用卡交易中向用戶請求個人身份信息。該法令常年是重要的訴訟援引對象。在Pinedav. Williams-Sonoma Stores（2011）案中，加利福尼亞州最高法院評估郵政編碼是否是《Song-BeverlyCredit Card法》下的PII，並做了判決。在Apple v. Krescent（2013年）案中，同一法院考慮了這項法律是否禁止擴展到提供可下載產品的在線商家，判決結果不認為郵政編碼屬於PII（請關注下一期）。同樣的對象，但在線下交易和線上交易不同場景中，得到了不同的法律解釋，法官的判決依據可成為我們靈活理解PII概念和範疇的提供有價值的參考。

PINEDA V. WILLIAMS-SONOMA STORES

246P.3d 162（Cal。2011）

（根據判決書整理）Moreno法官：1971年的《Song-Beverly Credit Card法》（信用卡法）（Civ。Code，§1747et seq）旨在促進對消費者的保護。[i]其中一條規定第1747條08款禁止企業要求持卡人在信用卡交易過程中提供「PII」（PII），然後記錄該信息。

該案的法律問題圍繞於「在信用卡交易期間企業請求並記錄客戶郵政編碼是否構成了對第1747條08款的違反？」根據該法令的通俗文字，保護目的和立法歷史，法官得出結論，郵政編碼構成第1747條08款中所使用的「PII」。因此，僅就請求並記錄持卡人的郵政編碼的行為已經違反信用卡法。因此，駁回了上訴法院的相反判決，並根據我們的決定重新開始進一步審理。。。。

原告前往了被告在加利福尼亞的一家分店購物，然後，她去收銀員用信用卡買單。收銀員向原告索取她的郵政編碼，她認為被要求提供所要求的信息用以完成交易，所以原告提供信息。收銀員將原告的郵政編碼輸入電子收銀機，然後完成交易。在交易結束時，被告將原告的信用卡號碼，姓名和郵政編碼記錄在其資料庫中。被告隨後使用定製的計算機軟體從包含數百萬個姓名，電子郵件地址，電話號碼和街道地址的資料庫中進行反向搜索，並以類似於反向電話簿的方式進行索引。該軟體將原告的姓名和郵政編碼與原告先前未公開的地址相匹配，並將其保存在自己的資料庫中。被告使用其資料庫向客戶推銷產品，也可能將其編製的信息出售給其他企業。。。

（法官就第1747條08款文本進行法律解釋）（b）子條款將PII定義為「有關持卡人的信息。。。包括但不限於持卡人的地址和電話號碼」。。。持卡人的郵政編碼指的是持卡人工作或居住的地區，當然是與持卡人有關的信息。

儘管如此，依據立法機關的表述並不意味著可以直接認定郵政編碼就屬於PII。上訴法院認為，地址和電話號碼「在個人性質上是特定的」。法院繼續解釋道，（與其他（b）子條款下的PII相類比）相比之下，一個郵政編碼屬於居住在郵政編碼內的個人背後的群體。因此，上訴法院判定，僅僅是郵政編碼的話，它有別於（b）子條款中具體確定的其他PII概念。

這其中的推理有幾個問題。首先，郵政編碼很容易被理解為地址的一部分;當一個人寫信給另一個人時，往往會包含郵政編碼。問題在於立法機關是否認為PII這一概念包含了持卡人的地址信息？立法機關的意圖是否還包含了地址信息的組成部分？答案是肯定的。否則，企業不僅可以索取持卡人的郵政編碼，而且還可以要求持卡人的街道和城市，只要不要求提供具體門牌號碼。這樣的理解會使法律的保護落空。因此，法規中的「地址」一詞應該被解釋為不僅包含完整的地址，還包含其組成部分。

其次，下級法院的結論基於這樣一種假設：與郵政編碼不同，完整的地址和電話號碼是個人特有的。這一假設在所有甚至大多數情況下是值得懷疑的。 例如，持卡人的家庭住址，該信息可能涉及居住在同一家庭中的一群人。同樣，家庭電話號碼可能也指向的是多個人。在持卡人的工作地址或電話號碼的情形下，問題更加明顯，這些信息可能很容易涉及數十，數百甚至數千人。當然，第1747條08款明確規定，持卡人的地址和電話號碼構成了PII;該信息也可能與持卡人以外的其他個人有關，但這並不重要。同理，並不能因為郵政編碼是否與持卡人以外的其他人有關聯，就認為它與地址和電話號碼有所不同。

更重要的是，上訴法院忽略了第1747條08款（b）子條款的另一個合理解釋，即它們都構成了銷售交易不必要的信息，單獨或與其他數據一起，例如持卡人姓名或信用卡號碼，可被零售商用於其商業目。在這種理解下，持卡人的郵政編碼與他或她的地址或電話號碼相似，因為郵政編碼對於交易來說都是不必要的，並且可以與持卡人的姓名一起使用以找到他或她的完整地址。然後，零售商可以像原告指稱被告所說的那樣，將積累的信息用於自己的目的或將信息出售給其他企業。

第1747條08款的立法史提供了更多的支撐：原告的解釋是正確的。。。因此，鑒於成文法文本、立法史和立法目的，我們認為，該條款在1747條08款中使用的PII包括持卡人的郵政編碼。

（Apple v. Krescent（2013年）案中，在線上購買可下載的商品時，郵政編碼又被認定為不屬於 PII，下次在寫吧）

保持圍笑~

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！